Qu’est-ce qu’ISO 27701 ?
ISO/IEC 27701:2019 est une extension d’ISO 27001 et ISO 27002 spécifiquement conçue pour la gestion des informations relatives à la vie privée. Elle établit les exigences et fournit les lignes directrices pour la mise en place d’un système de management des informations relatives à la vie privée (PIMS — Privacy Information Management System).
La norme s’applique à tous les types d’organisations agissant en tant que responsables de traitement ou sous-traitants au sens du RGPD. Elle ne peut être mise en œuvre que comme extension d’un SMSI conforme à ISO 27001, ce qui garantit que la protection de la vie privée repose sur un socle solide de sécurité de l’information.
Le PIMS : un système de management de la vie privée
Le PIMS intègre la gestion de la vie privée dans le système de management existant. Il s’appuie sur :
- Des exigences supplémentaires au SMSI : ISO 27701 ajoute des exigences spécifiques à chaque clause d’ISO 27001 (clauses 4 à 10) pour couvrir les aspects liés à la vie privée
- Des contrôles pour les responsables de traitement : L’Annexe A d’ISO 27701 fournit des contrôles spécifiques aux organisations qui déterminent les finalités et les moyens du traitement
- Des contrôles pour les sous-traitants : L’Annexe B d’ISO 27701 fournit des contrôles spécifiques aux organisations qui traitent des données pour le compte de responsables de traitement
- Un mapping RGPD : L’Annexe D fournit une correspondance détaillée entre les contrôles ISO 27701 et les articles du RGPD
Mapping ISO 27701 — RGPD
L’un des atouts majeurs d’ISO 27701 est le mapping détaillé qu’elle fournit entre ses exigences et les articles du RGPD. Ce mapping couvre notamment :
- Licéité du traitement (Art. 6) : Exigences d’identification et de documentation des bases juridiques pour chaque traitement
- Consentement (Art. 7) : Contrôles pour l’obtention, l’enregistrement et la gestion du consentement
- Droits des personnes concernées (Art. 15-22) : Processus pour répondre aux demandes d’accès, de rectification, d’effacement et de portabilité
- Responsable de traitement et sous-traitant (Art. 28) : Exigences contractuelles et organisationnelles pour les relations responsable-sous-traitant
- Sécurité du traitement (Art. 32) : Mesures techniques et organisationnelles alignées avec les contrôles ISO 27001
- Notification des violations (Art. 33-34) : Processus de détection, d’évaluation et de notification des violations de données
- Analyse d’impact (Art. 35) : Cadre pour la réalisation d’analyses d’impact relatives à la protection des données (AIPD)
Ce mapping ne constitue pas une présomption de conformité RGPD, mais il fournit un cadre structuré et auditable qui démontre de manière tangible les efforts de conformité de l’organisation.
Le processus de certification
La certification ISO 27701 s’intègre dans le processus de certification ISO 27001 existant :
- Prérequis : L’organisation doit disposer d’un SMSI certifié ISO 27001 ou poursuivre les deux certifications simultanément
- Extension du périmètre : Le périmètre du PIMS doit être défini en relation avec le périmètre du SMSI, couvrant les traitements de données personnelles pertinents
- Mise en œuvre des contrôles : Implémentation des contrôles supplémentaires d’ISO 27701 applicables au rôle de l’organisation (responsable et/ou sous-traitant)
- Audit combiné : L’audit ISO 27701 est généralement réalisé conjointement avec l’audit ISO 27001, ce qui optimise les coûts et les délais
- Certificat : Le certificat ISO 27701 précise si l’organisation est certifiée en tant que responsable de traitement, sous-traitant, ou les deux
Avantages de la certification
La certification ISO 27701 offre des avantages concrets pour les organisations :
- Confiance des clients : Démontre un engagement formel et audité envers la protection des données personnelles
- Facilitation des relations commerciales : Réduit le besoin d’audits individuels par les clients et partenaires
- Conformité démontrable : Fournit des preuves tangibles aux autorités de protection des données
- Réduction des risques : Structuration systématique de la gestion des risques liés à la vie privée
- Avantage concurrentiel : Différenciation sur les marchés où la protection des données est un critère de sélection
Comment BALTUM vous accompagne
BALTUM propose un accompagnement complet pour la certification ISO 27701, intégré à votre démarche ISO 27001. Nos experts vous aident à définir le périmètre de votre PIMS, à réaliser l’analyse d’écart, à mettre en œuvre les contrôles nécessaires et à préparer votre audit de certification.
Contactez BALTUM pour évaluer votre éligibilité à la certification ISO 27701 et renforcer votre posture de protection des données.